NIS2 pas à pas : le secteur de l'énergie au Luxembourg
Ce parcours en sept étapes présente ce que la loi du 5 mai 2026 prévoit pour les entreprises du secteur de l'énergie au Luxembourg. La loi distingue deux statuts, l'entité essentielle et l'entité importante, définis à son article 11. L'Institut luxembourgeois de régulation est l'autorité compétente en matière de cybersécurité pour les secteurs des annexes I et II, en vertu de l'article 3.
La vérification gratuite d'applicabilité prend environ trois minutes. Le dossier documentaire NIS2 complet est généralement prêt dans l'heure suivant le paiement — pas en jours ni en semaines.
Ce guide décrit les exigences de la loi à un niveau général et ne constitue pas un conseil juridique. L'applicabilité dépend du profil de l'entreprise (secteur, taille, services) — la vérification gratuite d'applicabilité montre si et dans quelle mesure la loi s'applique à votre entreprise.
1. Champ d'application et statut de l'entité
L'annexe I de la loi du 5 mai 2026 range l'énergie parmi les secteurs hautement critiques et y vise notamment l'électricité, les réseaux de chaleur et de froid, le pétrole, le gaz et l'hydrogène, avec pour chaque sous-secteur des types d'entités définis par renvoi aux lois sectorielles et aux règlements européens. Aux termes de l'article 11, paragraphe 1er, une entité d'un type figurant à l'annexe I qui dépasse les plafonds fixés pour les moyennes entreprises par la recommandation 2003/361/CE relève de la catégorie d'entité essentielle. Les entités des annexes I ou II qui ne remplissent pas cette condition sont, selon l'article 11, paragraphe 2, des entités importantes. L'article 11, paragraphe 4, prévoit la communication des données d'identification à l'autorité compétente dans un délai de deux mois à compter de l'entrée en vigueur de la loi et la signalisation de toute modification dans un délai de deux semaines.
NACE 35.1NACE 35.30NACE 35.2NACE 06NACE 19.20NACE 49.50
Voir aussi la page du secteur : Énergie · Catégories d'entités NIS2 — Luxembourg
2. Rôle de l'organe de direction et formation
L'article 13, paragraphe 1er, confie à l'organe de direction des entités essentielles et importantes l'approbation des mesures de gestion des risques adoptées pour se conformer à l'article 12. Le même paragraphe lui attribue la supervision de leur mise en œuvre et prévoit qu'il peut être tenu responsable d'une violation de cet article par l'entité. L'article 13, paragraphe 2, prévoit que les membres de l'organe de direction suivent régulièrement une formation et que l'entité propose une formation comparable à son personnel. Cette formation a pour objet l'acquisition de connaissances et de compétences suffisantes pour cerner les risques et apprécier les pratiques de gestion des risques ainsi que leur incidence sur les services fournis.
Obligation de formation des organes de direction NIS2 par pays
3. Analyse des risques comme socle
L'article 12, paragraphe 1er, oblige les entités essentielles et importantes à mettre en place des mesures techniques, opérationnelles et organisationnelles adaptées et proportionnées pour maîtriser les risques pesant sur les réseaux et systèmes d'information employés dans leurs activités. Le même paragraphe précise que l'identification des risques repose sur un cadre d'analyse de risques approprié, que l'autorité compétente peut préciser par règlement ou par circulaire. L'appréciation de la proportionnalité tient compte du degré d'exposition, de la taille de l'entité ainsi que de la probabilité et de la gravité des incidents, y compris leurs répercussions sociétales et économiques. L'article 12, paragraphe 2, point 1°, inscrit par ailleurs les politiques d'analyse des risques et de sécurité des systèmes d'information parmi les éléments minimaux exigés.
La plateforme génère ce document automatiquement — il est inclus dans le pack de documents. Services
4. Catalogue des mesures de gestion des risques
L'article 12, paragraphe 2, retient une approche fondée sur tous les risques et énumère dix éléments minimaux, allant des politiques d'analyse des risques au traitement des incidents, à la continuité et à la gestion de crise, à la sécurité de la chaîne d'approvisionnement, à la sécurité de l'acquisition et de la maintenance des systèmes, à l'évaluation de l'efficacité des mesures, à la cyberhygiène et à la formation, à la cryptographie, à la sécurité des ressources humaines et au contrôle d'accès, ainsi qu'à l'authentification à plusieurs facteurs et aux communications sécurisées. Le texte applique ce même catalogue à toutes les entités essentielles et importantes, sans mesure propre au secteur de l'énergie. L'article 12, paragraphe 3, prévoit que les entités essentielles communiquent à l'autorité compétente les mesures ainsi adoptées, selon des modalités, un format et un délai arrêtés par règlement ou circulaire. L'article 12, paragraphe 5, prévoit que l'entité qui constate un écart engage sans retard injustifié les mesures correctives nécessaires, appropriées et proportionnées.
Mesures de gestion des risques NIS2 face à ISO 27001, DORA et RGPD
5. Notification des incidents importants
L'article 14, paragraphe 1er, prévoit la notification sans retard injustifié à l'autorité compétente de tout incident ayant un impact important sur la fourniture des services, l'autorité transmettant la notification au CSIRT concerné et au point de contact unique dès réception. Selon l'article 14, paragraphe 4, point 1°, une notification préliminaire intervient dans les vingt-quatre heures suivant la prise de connaissance de l'incident important. Le point 2° du même paragraphe fixe la notification d'incident, comportant une évaluation initiale de la gravité et de l'impact, dans les soixante-douze heures suivant cette prise de connaissance. Le point 4° prévoit un rapport final au plus tard un mois après la présentation de la notification d'incident, un rapport intermédiaire pouvant en outre être demandé par le CSIRT ou l'autorité compétente.
Délais de notification des incidents NIS2 par pays de l'UE · La plateforme génère ce document automatiquement — il est inclus dans le pack de documents. Services
6. Traces écrites découlant de la loi
Les obligations de l'article 12, paragraphe 2, sont formulées en termes de politiques et de procédures, notamment pour l'analyse des risques et la sécurité des systèmes d'information, pour l'évaluation de l'efficacité des mesures et pour le recours à la cryptographie, ce qui suppose des documents établis et tenus à jour. L'article 12, paragraphe 3, appuie cette dimension écrite, puisque les mesures des entités essentielles sont communiquées à l'autorité compétente selon un format qu'elle détermine. L'article 11, paragraphe 4, repose de même sur des informations d'identification transmises puis actualisées auprès de l'autorité compétente. L'article 14, paragraphe 4, point 4°, énumère le contenu du rapport final, dont la description détaillée de l'incident, la cause probable, les mesures d'atténuation et, le cas échéant, l'impact transfrontière.
Le pack comprend :
- Politique de gestion des risques de cybersécurité
- Plan de traitement des incidents
- Plan de continuité des activités
- Politique de sécurité de la chaîne d'approvisionnement
- Déclaration de responsabilité de la direction et plan de formation
- Assistant de remplissage dans le portail
Maintenance (mensuelle) — re-sign des documents selon le droit en vigueur — 290 EUR/mois — Services
7. Plafonds des amendes administratives
L'article 26, paragraphe 4, prévoit, pour les violations de l'article 12 ou de l'article 14, paragraphes 1er à 4, une amende administrative dont le plafond s'établit, pour une entité essentielle, à 10 000 000 EUR ou à 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. L'article 26, paragraphe 5, fixe le plafond correspondant pour une entité importante à 7 000 000 EUR ou à 1,4 % de ce même chiffre d'affaires, selon le montant le plus élevé. L'article 26, paragraphe 3, renvoie aux éléments d'appréciation de l'article 22, paragraphe 7, pour la décision d'infliger une amende et pour son montant. L'article 26, paragraphe 7, permet en outre d'assortir la décision d'une astreinte plafonnée à 1 250 euros par jour, sans que le total dépasse 25 000 euros.
Questions fréquentes
Quelle autorité suit les entreprises de l'énergie au Luxembourg au titre de cette loi ?
L'article 3 désigne l'Institut luxembourgeois de régulation comme autorité compétente en matière de cybersécurité pour les secteurs des annexes I et II, dont l'énergie, ainsi que pour les missions de supervision et d'exécution du chapitre 6. La Commission de surveillance du secteur financier exerce cette compétence pour le secteur bancaire et les infrastructures des marchés financiers. Les notifications reçues sont transmises au CSIRT concerné et au point de contact unique.
Comment se distingue une entité essentielle d'une entité importante ?
Selon l'article 11, paragraphe 1er, point 1°, une entité d'un type visé à l'annexe I qui dépasse les plafonds applicables aux moyennes entreprises au sens de la recommandation 2003/361/CE est une entité essentielle. L'article 11, paragraphe 2, qualifie d'entités importantes les entités des annexes I ou II qui ne relèvent pas du paragraphe 1er. L'autorité compétente confirme la désignation de l'entité dans l'une ou l'autre catégorie, conformément à l'article 11, paragraphe 4.
Quels délais la loi fixe-t-elle après un incident important ?
L'article 14, paragraphe 4, prévoit une notification préliminaire dans les vingt-quatre heures suivant la connaissance de l'incident important. Une notification d'incident, assortie d'une évaluation initiale, intervient dans les soixante-douze heures suivant cette même prise de connaissance. Un rapport final est présenté au plus tard un mois après la notification d'incident et, en cas d'incident encore en cours, un rapport d'avancement est fourni, le rapport final suivant dans un délai d'un mois à compter de la gestion de l'incident.
Le contenu repose sur la version de loi du 5 mai 2026 en vigueur au 2026-05-10 (somme de contrôle 3be36b39b9bd).